CVE-2016-20049 — 神龙十问 AI 深度分析摘要

🚨 **本质**：栈缓冲区溢出（Stack Buffer Overflow）。 💥 **后果**：攻击者可通过提供**超大输入**，导致程序崩溃或**执行任意代码**。

🔍 **CWE**：CWE-787（Out-of-bounds Write）。 📍 **缺陷点**：对输入数据的边界检查缺失，导致写入超出分配内存。

📦 **组件**：Varaneckas JAD Java Decompiler。 📅 **版本**：**1.5.8e-1kali1** 及之前所有版本。

👑 **权限**：可获取**任意代码执行**权限（RCE）。 📊 **数据**：完全控制目标进程，可能导致**机密性、完整性、可用性**全部丧失（C:H/I:H/A:H）。

🚪 **门槛**：**极低**。 🔑 **认证**：无需认证（PR:N）。 🖱️ **交互**：无需用户交互（UI:N）。 🌐 **网络**：远程利用（AV:N）。

💣 **Exp**：有。 🔗 **来源**：ExploitDB **42076** 提供利用代码。 📢 **公告**：VulnCheck 已发布相关安全公告。

🔎 **自查**：检查是否安装 **JAD Java Decompiler**。 📋 **版本**：确认版本号是否 **≤ 1.5.8e-1kali1**。 🛠️ **工具**：使用漏洞扫描器检测栈溢出特征。

🛡️ **补丁**：数据未提供具体补丁链接。 📉 **建议**：升级至**最新版本**（若存在修复版本）。 🔗 **参考**：访问官方主页 http://www.varaneckas.com/jad/ 查询更新。

🚫 **规避**： 1. **禁用**该工具或从系统中卸载。 2. **限制**执行权限，仅允许受信任用户运行。 3. 输入**沙箱隔离**环境运行，防止溢出影响宿主系统。

🔥 **优先级**：**紧急**（Critical）。 ⚠️ **理由**：CVSS 3.1 评分极高，**远程、无需认证、无需交互**即可利用，且已有公开 Exploit，风险极大。